Tegen 2028 zullen security operations centers 50% meer engineers dan analisten hebben, door verschuivingen in AI-ondersteunde taken en case ownership.
Volgens een rapport van Gartner zullen security operations centers (SOC's) in 2028 50% meer engineers dan analisten in dienst hebben. Dit voorspelt analist Pete Shoard in The Roles Required for the AI-Enabled Security Operations Center (SOC). De verschuiving komt voort uit het toenemende gebruik van AI in het afhandelen van alerts, waardoor het werk van analisten verandert van het verwerken van meldingen naar het volledig beheren van cases.
Het rapport stelt dat AI-agenten al een groot deel van het alert-handling werk overnemen bij traditionele detectie, wat het einde betekent van alertverwerking als primaire taak van SOC's. Analisten verschuiven daardoor van triage naar case ownership, waarbij zij verantwoordelijk zijn voor het bevestigen van bevindingen, het kiezen van de juiste respons en het communiceren van opties naar betrokkenen. Tegelijkertijd groeit detection engineering uit tot een bredere technische functie en wordt exposure management een vaste SOC-activiteit. Volgens Gartner zal het aantal medewerkers in SOC's niet afnemen, maar veranderen van rol, waarbij zij zich meer richten op detection engineering, threat expertise, penetratietests en exposure management.
De verandering heeft ook gevolgen voor instapfuncties. Veel junior analisten leerden hun vak via Tier 1 triage, maar AI zorgt voor een afvlakking van deze lagen. Hierdoor missen zij de herhalingen die nodig zijn om hun oordeel te ontwikkelen, tenzij teams dit bewust compenseren. Gartner adviseert drie methoden: het bestuderen van het werk van AI-agenten als leermateriaal, het vroegtijdig toewijzen van cases aan junior analisten onder supervisie, en het terugkoppelen van correcties aan detection engineers om AI te verbeteren. Dit laatste sluit aan bij de rol van detection engineers die volgens het rapport verantwoordelijk worden voor operationele feedbackmanagement. Zo kunnen analisten zich ontwikkelen in het beoordelen van AI-resultaten zonder alleen maar bevestigingen te geven.
